جزئیات آسیب‌پذیری
CVE-2025-58178
SonarSource sonarqube-scan-action
Command Injection via sonarqube-scan-action GitHub Action
CVSS 3.1
7.8بالا
شرح رسمی (انگلیسی)
SonarQube Server and Cloud is a static analysis solution for continuous code quality and security inspection. In versions 4 to 5.3.0, a command injection vulnerability was discovered in the SonarQube Scan GitHub Action that allows untrusted input arguments to be processed without proper sanitization. Arguments sent to the action are treated as shell expressions, allowing potential execution of arbitrary commands. A fix has been released in SonarQube Scan GitHub Action 5.3.1.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.8بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| SonarSource | sonarqube-scan-action | >= 4, < 5.3.1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/SonarSource/sonarqube-scan-action/security/advisories/GHSA-f79p-9c5r-xg88 x_refsource_CONFIRM
- https://github.com/SonarSource/sonarqube-scan-action/pull/200 x_refsource_MISC
- https://github.com/SonarSource/sonarqube-scan-action/commit/016cabf33a6b7edf0733e179a03ad408ad4e88ba x_refsource_MISC
- https://community.sonarsource.com/t/security-advisory-sonarqube-scanner-github-action/147696 x_refsource_MISC
- https://sonarsource.atlassian.net/browse/SQSCANGHA-101 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۶/۱۱
- آخرین به‌روزرسانی
- ۱۴۰۴/۰۶/۱۱
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۱٫۰۹٪
احتمال بهره‌برداری در ۳۰ روز
۶۵٫۶٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-77Improper Neutralization of Special Elements used in a Command ('Command Injection')